A isenção de consentimento da CNIL para a medição de audiência: os critérios de julho de 2025

Em França, uma ferramenta de medição de audiência pode funcionar sem aviso de consentimento se cumprir as condições da CNIL. A 4 de julho de 2025, a CNIL atualizou a sua página "Cookies : solutions pour les outils de mesure d'audience" e publicou uma ferramenta de autoavaliação que detalha essas condições para os fornecedores. Durante muito tempo a CNIL manteve uma lista de soluções avaliadas; a sua página atual já não a publica e remete para a autoavaliação. Este artigo explica o que pede e o que deve verificar quem gere um site. É informação geral, não aconselhamento jurídico. Em Portugal aplicam-se as regras nacionais e as orientações da CNPD.

A regra e a sua exceção

O artigo 82.º da lei francesa de proteção de dados exige consentimento antes de guardar ou ler informação no dispositivo de um visitante. Abrange os cookies, mas também qualquer outra técnica: píxeis, armazenamento local, impressões digitais. Uma medição sem cookies não escapa à regra por princípio.

A exceção vale para os rastreadores estritamente necessários ao serviço. A CNIL inclui a medição de audiência quando se cumprem quatro condições:

1. mede apenas a audiência do site, por conta exclusiva do titular;
2. produz apenas estatísticas anónimas;
3. os dados não são cruzados com outros tratamentos nem passados a terceiros de forma não anónima;
4. não permite seguir uma pessoa de um site ou aplicação para outro.

A CNIL recomenda ainda informar os visitantes (na política de privacidade), limitar a duração dos rastreadores a 13 meses sem a prolongar a cada visita e conservar os dados no máximo 25 meses.

O que a autoavaliação acrescenta

A ferramenta de julho de 2025 destina-se aos fornecedores. Indica se uma solução pode ser configurada para entrar na isenção e pede ao fornecedor que entregue aos clientes um documento segundo o modelo da CNIL, com as definições a aplicar. Não avalia a conformidade da ferramenta com o RGPD no seu conjunto.

Funcionalidades permitidas

A medição deve limitar-se a cinco usos: medir o desempenho, detetar problemas de navegação, otimizar o desempenho técnico ou a usabilidade, estimar a capacidade de servidor necessária e analisar os conteúdos consultados.

Funcionalidades excluídas

Tudo o que serve o marketing tem de estar desativado por predefinição. A grelha cita o desempenho dos canais de conversão e das campanhas publicitárias, a medição dos canais de aquisição, a luta contra a fraude publicitária e qualquer criação de coortes de utilizadores para lhes mostrar conteúdos diferentes. Os testes A/B entram neste último caso.

Para uma funcionalidade duvidosa, a CNIL propõe uma pergunta simples: sem esta medição, o site ainda consegue fazer o que o visitante pediu? O interesse económico não basta para a tornar "estritamente necessária".

Critérios técnicos, por objetivo

Objetivo	O que a grelha pede
Uma única finalidade, a medição de audiência	Instruções para desativar as funcionalidades fora do âmbito; cabeçalhos HTTP minimizados (por exemplo, a versão principal do navegador); no máximo três tipos de evento: presença numa página, uso de uma funcionalidade (clique num botão ou ligação, com a sua etiqueta), tempo de carregamento, scroll ou tempo na página
O fornecedor é subcontratante	Um acordo de tratamento (artigo 28.º do RGPD); nenhuma partilha de dados brutos de vários clientes; nenhuma reutilização para fins próprios; um ponto de contacto
Nenhum seguimento fora do site	Nenhum ID de cliente (CRM), UTM ou ID de campanha recolhido dos URL; referenciador limitado ao domínio; nenhuma integração com ferramentas de terceiros; cookie próprio (first-party) se existir; endereço IP usado no máximo para a cidade e depois truncado em pelo menos um byte; impressão digital calculada com uma componente própria do site e uma temporal; nenhum formulário que recolha dados pessoais; nenhuma medição de alcance unificado
Apenas estatísticas anónimas	Relatórios e exportações arredondados à dezena mais próxima, ou uma análise que prove o seu anonimato; nenhuma combinação de filtros que isole um utilizador; sem gravação de sessões
O direito de oposição	Um botão ou ligação de oposição na política de privacidade; uma recusa mantida no tempo (cookie de oposição ou impressão digital numa lista de exclusão)

Quando a grelha cita uma medida técnica concreta, é uma recomendação: o fornecedor pode aplicar outra se demonstrar que atinge o mesmo objetivo e o disser na sua documentação.

As armadilhas mais frequentes

• Os UTM. Um relatório por campanha ou por newsletter é marketing. Os parâmetros têm de ser descartados, não apenas escondidos no ecrã.
• Os números pequenos. Um relatório filtrado por uma cidade e um navegador pode descrever uma única pessoa. Daí o arredondamento à dezena e as linhas escondidas.
• O registo de visitas. Ver o percurso de um visitante concreto, mesmo sem nome, é seguir um único utilizador.
• As integrações. Ligar a ferramenta a uma rede publicitária, a um CRM ou a outro serviço tira-a do âmbito.
• A configuração predefinida. A maioria das ferramentas não está isenta tal como é instalada. O Google Analytics nunca esteve entre as ferramentas que a CNIL considerava elegíveis.

O que verifica o titular do site

1. Peça ao fornecedor o documento de autoavaliação e aplique as definições indicadas.
2. Adicione o botão de oposição à sua política de privacidade e descreva aí a medição.
3. Verifique que a conservação não ultrapassa 25 meses.
4. Faça o inventário dos outros rastreadores do site: publicidade, vídeos incorporados, widgets. Continuam a precisar de consentimento, e portanto de um aviso de cookies.
5. Lembre-se de que a autoavaliação não vincula a CNIL, que pode inspecionar um site. Um fornecedor não se pode dizer "certificado" nem "validado pela CNIL" nem usar o seu logótipo; pode dizer que a sua solução "pode beneficiar da isenção".

No caso do Statsdot, o documento é a nossa autoavaliação CNIL, e as definições cabem numa caixa, o modo de isenção CNIL. Para outras ferramentas, veja O Matomo e a isenção da CNIL e O Google Analytics é ilegal em França?.